UAT-10147: IA en todas las fases, desde el recon hasta el rootkit
Cisco Talos encontró en la infraestructura del grupo DeepAudit y PentestGPT corriendo sobre sus propios servidores de C2: escanean aplicaciones web y ejecutan los PoC que corresponden, sin que nadie apriete un botón. Sumado a eso, cuatro scripts Python generados con ayuda de IA para diagnóstico post-explotación, despliegue de payloads y mezclar tráfico.
Lo más incómodo es el rootkit Linux SPECTRE: los investigadores creen que fue escrito con una mezcla de IA y mano humana, y lo deducen de los comentarios descriptivos y de que hay varios métodos distintos para lograr exactamente lo mismo — huella típica de código generado. Ojo con esto: ya no es "usan Metasploit", es un pipeline de intrusión con IA adentro.
CVE-2026-61539 — Xinference: la salida del modelo entra directo a eval() (10.0)
Xinference 2.5.0 y anteriores parsean las tool-calls de Llama3 pasando la salida del modelo a eval() de Python, sin sanitizar. Un atacante no autenticado manda un prompt a /v1/chat/completions con tools habilitadas, consigue que el modelo emita código Python, y ese código se ejecuta en el proceso del servidor. CVSS 10.0, la nota máxima.
Acá está el patrón de fondo: la salida del modelo es entrada no confiable. Siempre. Parchado en 2.7.0 (commit 1b3d220); si no podés actualizar ya, deshabilitá tools o restringí el endpoint a redes de confianza.
CVE-2026-76841 — Xinference carga modelos con trust_remote_code=True fijo (8.8)
Hasta la 2.11.0, Xinference pasa trust_remote_code=True en seis lugares distintos del código — reranking, embeddings y transformers — sin ninguna opción para desactivarlo. Un atacante autenticado que pueda lanzar modelos registra uno malicioso con código Python arbitrario en su tokenizer_config.json, y ese código corre con los privilegios del proceso worker.
La 2.12.0 mete el comportamiento detrás del flag allow_trust_remote_code y la variable XINFERENCE_TRUST_REMOTE_CODE, y lo limita a modelos built-in. Es el clásico de supply chain de model hubs: el peso no es solo peso, trae código.
CVE-2026-54457 — TensorZero: un parámetro JSON abre el filesystem del gateway (7.7)
El endpoint /internal/object_storage del TensorZero Gateway acepta un parámetro storage_path enviado por el llamador que pisa la configuración del servidor. De ahí salen dos caminos: lectura arbitraria de archivos del gateway — credenciales incluidas — y SSRF hacia endpoints internos o de metadata cloud elegidos por el atacante.
Si el endpoint pide autenticación o no depende de cómo lo desplegaste, así que asumí lo peor. Arreglado en 2026.6.0; mientras tanto, filtrado por IP y restricción de los tipos de storage permitidos.
CVE-2026-54449 — LangBot: cualquier usuario autenticado edita la config MCP y ejecuta comandos (8.8)
En LangBot 4.10.7 y anteriores, el loader src/langbot/pkg/provider/tools/loaders/mcp.py levanta subprocesos a partir de la configuración de servidores MCP STDIO sin ningún chequeo de autorización. Cualquiera que consiga una cuenta ejecuta comandos con los privilegios del servicio LangBot.
Lo importante: al día de hoy no hay versión parchada. La mitigación es operativa — restringir la config MCP solo a administradores, mirar los logs por subprocesos raros y suspender cuentas privilegiadas hasta que el vendor responda (GHSA-3pvh-63gf-j9mw).
CVE-2026-53509 — ckan-mcp-server: ip6-localhost pasa el filtro SSRF (5.7)
El servidor MCP de CKAN, antes de 0.4.106, valida solo el hostname parseado para frenar SSRF. El problema es obvio una vez que lo ves: alias como ip6-localhost no matchean con el literal localhost pero resuelven igual al loopback. Un atacante autenticado invoca las tools de CKAN con una URL armada y el servidor sale a hablar con redes internas.
La 0.4.106 pasa a una lista de hostnames bloqueados que cubre los alias. Regla general: filtrar por string antes de resolver es filtrar el nombre, no el destino.
CVE-2026-75130 — Context7: prompt injection en las Custom AI Instructions
Context7 2.1.2 y anteriores no sanitizan la función de Custom AI Instructions de su servidor MCP. Se inyectan comandos que terminan robando credenciales de archivos .env y ejecutando operaciones destructivas sobre el filesystem de la víctima.
Los números merecen atención: CVSS v3.1 le da 9.0 crítico por el cambio de scope, mientras que CVSS v4.0 lo baja a 6.4 medio porque el impacto directo sobre el componente vulnerable es nulo — todo el daño ocurre en el sistema subsecuente. Es exactamente lo que pasa cuando puntuás una prompt injection con métricas pensadas para memoria corrupta.
CVE-2026-18482 — Neo.mjs: el agente es el vector de la inyección de comandos
En FileSystemService.mjs, las funciones checkSyntax() y runPlaywrightTest() interpolan el valor absolutePath — controlado por quien llama — directo dentro de comandos de shell. Lo interesante es el camino de explotación descrito: el atacante no toca la API, convence al agente de IA de invocar esas funciones con paths maliciosos.
Klarso publicó el fix en el commit 88c77fc. Si no podés actualizar, deshabilitá esas funciones o validá absolutePath antes de que llegue al shell. Sin CVSS asignado todavía, EPSS por debajo del 1%.
El NCSC publica guía interina para agentes autónomos: sandbox, identidad propia y freno
El NCSC británico sacó guía práctica interina para desplegar agentes autónomos, con tres ejes. Sandboxing: correr el agente aislado y darle acceso únicamente a los recursos que la tarea necesita, con red denegada por defecto y allowlist para lo indispensable. Identidad: cada agente con identidad propia y credenciales de vida corta, contando API keys, grants OAuth, claves SSH y sesiones autenticadas dentro del impacto potencial. Supervisión: monitoreo en tiempo real, un responsable con nombre y apellido, y la capacidad de frenar la actividad autónoma en el acto.
El punto que más duele: el NCSC dice explícitamente que no dependas de los safeguards del modelo base, porque se los puede saltear. La guía formal todavía está en desarrollo y va a reemplazar este post.
Tendencias Destacadas
Dos CVE de Xinference el mismo día muestran las dos caras del mismo problema: confiar en la salida del modelo (eval()) y confiar en el código que viene con los pesos (trust_remote_code). Ambas son la misma decisión de diseño repetida en distinta capa.
El agente de IA aparece cada vez más como vector explícito en la descripción del CVE, no como contexto: en Neo.mjs el paso de explotación es convencer al agente, no llamar a la API. Los formularios de CVE todavía no tienen buen lugar para eso.
La brecha entre CVSS v3.1 y v4.0 para prompt injection (9.0 contra 6.4 en Context7) va a seguir generando confusión operativa mientras las dos métricas convivan en la misma página.
UAT-10147: AI at every phase, from recon to the rootkit
Cisco Talos found DeepAudit and PentestGPT installed on the group's own command-and-control servers, scanning web applications and firing the matching proof-of-concept exploits without a human pressing anything. On top of that, four AI-assisted Python scripts for post-exploitation diagnostics, payload deployment, and blending traffic.
The uncomfortable part is the SPECTRE Linux rootkit: researchers believe it was built with a mix of AI assistance and human expertise, inferred from the descriptive comments and from several different methods achieving identical results — a signature of generated code. This is no longer "they run Metasploit"; it is an intrusion pipeline with AI wired into it.
CVE-2026-61539 — Xinference: model output goes straight into eval() (10.0)
Xinference 2.5.0 and earlier parse Llama3 tool-calls by handing model output to Python's eval() with no sanitization. An unauthenticated attacker sends a prompt to /v1/chat/completions with tools enabled, gets the model to emit Python, and that Python runs in the server process. CVSS 10.0 — the ceiling.
The underlying pattern: model output is untrusted input. Always. Fixed in 2.7.0 (commit 1b3d220); if you cannot upgrade yet, disable tools or restrict the endpoint to trusted networks.
CVE-2026-76841 — Xinference loads models with trust_remote_code=True hardcoded (8.8)
Through 2.11.0, Xinference passes trust_remote_code=True at six separate call sites — reranking, embedding, and transformer loaders — with no user-facing way to turn it off. An authenticated attacker who can launch models registers a malicious one carrying arbitrary Python in its tokenizer_config.json, and that code runs with worker process privileges.
2.12.0 gates the behavior behind the allow_trust_remote_code flag and the XINFERENCE_TRUST_REMOTE_CODE environment variable, restricting it to built-in models. Classic model-hub supply chain: weights are not just weights, they ship code.
CVE-2026-54457 — TensorZero: one JSON parameter opens the gateway filesystem (7.7)
TensorZero Gateway's /internal/object_storage endpoint accepts a caller-supplied storage_path parameter that overrides server configuration. Two paths follow: arbitrary file reads from the gateway filesystem — credentials included — and SSRF to attacker-chosen internal or cloud-metadata endpoints.
Whether the endpoint requires authentication depends on your deployment, so assume the worst. Fixed in 2026.6.0; until then, IP filtering and restricting allowed storage types.
CVE-2026-54449 — LangBot: any authenticated user edits the MCP config and runs commands (8.8)
In LangBot 4.10.7 and earlier, the loader at src/langbot/pkg/provider/tools/loaders/mcp.py spawns subprocesses from STDIO MCP server configuration with no authorization check at all. Anyone who gets an account executes commands with LangBot service privileges.
The part that matters: there is no patched version as of today. Mitigation is operational — restrict MCP configuration to administrators, watch logs for unexpected subprocess execution, and suspend privileged accounts pending vendor remediation (GHSA-3pvh-63gf-j9mw).
CVE-2026-53509 — ckan-mcp-server: ip6-localhost slips past the SSRF filter (5.7)
CKAN's MCP server, before 0.4.106, validates only the parsed hostname to block SSRF. The gap is obvious once you see it: aliases like ip6-localhost do not match the literal localhost check but still resolve to loopback. An authenticated attacker invokes CKAN tools with a crafted URL and the server reaches into internal networks.
0.4.106 moves to a blocked-hostname list covering those aliases. General rule: filtering the string before resolution filters the name, not the destination.
CVE-2026-75130 — Context7: prompt injection through Custom AI Instructions
Context7 2.1.2 and earlier fail to sanitize the Custom AI Instructions feature of their MCP server. Injected commands end up stealing credentials from .env files and running destructive file operations on the victim system.
The scoring is worth a look: CVSS v3.1 rates it 9.0 critical on scope change, while CVSS v4.0 drops it to 6.4 medium because direct impact on the vulnerable component is none — all the damage lands on the subsequent system. That is exactly what happens when you score a prompt injection with metrics designed for memory corruption.
CVE-2026-18482 — Neo.mjs: the agent is the command-injection vector
In FileSystemService.mjs, checkSyntax() and runPlaywrightTest() interpolate the caller-controlled absolutePath value straight into shell commands. The interesting part is the described exploitation path: the attacker does not touch the API, they convince the AI agent to call those functions with malicious paths.
Klarso shipped the fix in commit 88c77fc. If you cannot upgrade, disable those functions or validate absolutePath before it reaches the shell. No CVSS assigned yet, EPSS under 1%.
NCSC publishes interim guidance for autonomous agents: sandbox, own identity, kill switch
The UK NCSC released interim practical guidance for deploying autonomous agents, on three axes. Sandboxing: run the agent isolated with access only to the resources a task requires, network denied by default and allowlists for what is necessary. Identity: each agent gets a distinct identity with short-lived credentials, counting API keys, OAuth grants, SSH keys and authenticated sessions as part of the potential impact. Oversight: real-time monitoring, a named person responsible, and the ability to halt autonomous activity immediately.
The line that stings: the NCSC says explicitly not to rely on the underlying model's built-in safeguards, because they can be bypassed. Formal guidance is still in development and will supersede this post.
Notable Trends
Two Xinference CVEs on the same day show two faces of one problem: trusting model output (eval()) and trusting the code shipped with the weights (trust_remote_code). Same design decision, repeated at a different layer.
The AI agent increasingly shows up as an explicit vector inside the CVE description, not as background: in Neo.mjs the exploitation step is convincing the agent, not calling the API. CVE paperwork still has no good place for that.
The gap between CVSS v3.1 and v4.0 for prompt injection (9.0 versus 6.4 on Context7) will keep causing operational confusion while both metrics live on the same page.
UAT-10147 : de l'IA à chaque phase, du recon au rootkit
Cisco Talos a trouvé DeepAudit et PentestGPT installés sur les serveurs de commande du groupe : ils scannent les applications web et lancent les exploits correspondants sans intervention humaine. S'y ajoutent quatre scripts Python assistés par IA pour le diagnostic post-exploitation, le déploiement de payloads et le camouflage du trafic.
Le plus gênant est le rootkit Linux SPECTRE : les chercheurs pensent qu'il mêle assistance IA et expertise humaine, d'après ses commentaires descriptifs et plusieurs méthodes distinctes pour un résultat identique — signature de code généré.
CVE-2026-61539 — Xinference : la sortie du modèle passe direct dans eval() (10.0)
Xinference 2.5.0 et antérieurs analysent les tool-calls Llama3 en passant la sortie du modèle à eval() sans assainissement. Un attaquant non authentifié envoie un prompt à /v1/chat/completions avec les tools activés, fait produire du Python au modèle, et ce code s'exécute dans le processus serveur. CVSS 10.0.
Le motif de fond : la sortie du modèle est une entrée non fiable. Corrigé en 2.7.0 (commit 1b3d220).
CVE-2026-76841 — Xinference charge les modèles avec trust_remote_code=True figé (8.8)
Jusqu'à la 2.11.0, Xinference passe trust_remote_code=True à six endroits du code — reranking, embeddings, transformers — sans possibilité de le désactiver. Un attaquant authentifié pouvant lancer des modèles en enregistre un contenant du Python arbitraire dans son tokenizer_config.json, exécuté avec les privilèges du worker.
La 2.12.0 place ce comportement derrière le flag allow_trust_remote_code et la variable XINFERENCE_TRUST_REMOTE_CODE.
CVE-2026-54457 — TensorZero : un paramètre JSON ouvre le filesystem du gateway (7.7)
L'endpoint /internal/object_storage du TensorZero Gateway accepte un paramètre storage_path fourni par l'appelant qui écrase la configuration du serveur. Deux conséquences : lecture arbitraire de fichiers du gateway — identifiants compris — et SSRF vers des endpoints internes ou de métadonnées cloud.
Corrigé en 2026.6.0.
CVE-2026-54449 — LangBot : tout utilisateur authentifié édite la config MCP et exécute des commandes (8.8)
Dans LangBot 4.10.7 et antérieurs, le loader src/langbot/pkg/provider/tools/loaders/mcp.py lance des sous-processus depuis la configuration des serveurs MCP STDIO sans aucun contrôle d'autorisation. Tout titulaire d'un compte exécute des commandes avec les privilèges du service.
Point clé : aucune version corrigée à ce jour (GHSA-3pvh-63gf-j9mw).
CVE-2026-53509 — ckan-mcp-server : ip6-localhost passe le filtre SSRF (5.7)
Le serveur MCP de CKAN, avant 0.4.106, ne valide que le hostname analysé pour bloquer les SSRF. Des alias comme ip6-localhost ne correspondent pas au littéral localhost mais résolvent vers le loopback. Un attaquant authentifié force le serveur à joindre des réseaux internes.
La 0.4.106 introduit une liste de hostnames bloqués couvrant ces alias.
CVE-2026-75130 — Context7 : prompt injection via les Custom AI Instructions
Context7 2.1.2 et antérieurs n'assainissent pas la fonction Custom AI Instructions de leur serveur MCP. Les commandes injectées volent des identifiants dans les fichiers .env et lancent des opérations destructrices sur le système victime.
Le scoring interpelle : CVSS v3.1 donne 9.0 critique (changement de scope), CVSS v4.0 seulement 6.4 moyen, l'impact direct sur le composant vulnérable étant nul.
CVE-2026-18482 — Neo.mjs : l'agent est le vecteur d'injection de commandes
Dans FileSystemService.mjs, checkSyntax() et runPlaywrightTest() interpolent la valeur absolutePath contrôlée par l'appelant directement dans des commandes shell. Le chemin d'exploitation décrit est notable : l'attaquant ne touche pas l'API, il convainc l'agent IA d'appeler ces fonctions avec des chemins malveillants.
Klarso a publié le correctif dans le commit 88c77fc. Pas de CVSS attribué, EPSS sous 1%.
Le NCSC publie une guidance intérimaire pour les agents autonomes : bac à sable, identité propre, arrêt
Le NCSC britannique publie une guidance pratique intérimaire pour déployer des agents autonomes, sur trois axes. Bac à sable : agent isolé, accès limité aux ressources nécessaires, réseau refusé par défaut. Identité : identité distincte et identifiants à durée de vie courte, en comptant clés API, grants OAuth, clés SSH et sessions authentifiées dans l'impact potentiel. Supervision : monitoring en temps réel, responsable nommé, arrêt immédiat possible.
Le point clé : ne pas se reposer sur les garde-fous du modèle sous-jacent, contournables.
Tendances Notables
Deux CVE Xinference le même jour montrent deux facettes d'un même problème : faire confiance à la sortie du modèle (eval()) et au code livré avec les poids (trust_remote_code).
L'agent IA apparaît de plus en plus comme vecteur explicite dans la description du CVE : chez Neo.mjs, l'étape d'exploitation consiste à convaincre l'agent, pas à appeler l'API.
L'écart entre CVSS v3.1 et v4.0 pour la prompt injection (9.0 contre 6.4 pour Context7) continuera de semer la confusion tant que les deux métriques coexistent.